L’essentiel
Le bureau de la CNIL peut décider de rendre publique une mise en demeure lorsque cette publicité est justifiée par la sensibilité des données traitées, la nécessité d’informer les personnes concernées et les organismes utilisateurs du service, ainsi que la persistance des insuffisances de sécurité.
La décision relève notamment le traitement de résultats de tests antigéniques et de données directement identifiantes, dont le numéro de sécurité sociale. La publicité vise également à alerter les acteurs du secteur de la santé sur les risques liés à une sécurité insuffisante des données personnelles.
La mise en demeure est susceptible d’être clôturée et cette clôture rendue publique si la société satisfait intégralement aux exigences dans le délai de deux mois. La mise en demeure et la délibération cessent en outre d’identifier nommément la société après deux ans à compter de leur publication.
En résumé
- Publicité de la mise en demeure en raison de manquements persistants à la sécurité.
- Application de l’article 32 du RGPD à la sécurité des données personnelles.
- Sensibilité des données de santé et présence du numéro de sécurité sociale.
- Contrôle sur place et vérifications en ligne établissant les insuffisances de sécurité.
- Clôture publique possible après mise en conformité dans le délai imparti.
Contexte de l’affaire
La délégation de contrôle a constaté que, malgré certaines mesures prises après la découverte de la violation, plusieurs insuffisances de sécurité persistaient et continuaient de faire peser un risque sur la confidentialité des données personnelles.
La présidente de la CNIL a mis la société en demeure de faire cesser, dans un délai de deux mois, le manquement à l’obligation de sécurité des données. Le bureau de la CNIL a ensuite été saisi de la demande de publicité de cette mise en demeure.
Il a décidé de rendre la décision publique en raison de la sensibilité des données traitées, comprenant des résultats de tests antigéniques et des données directement identifiantes, notamment le numéro de sécurité sociale.
Conditions / critères (ce que le juge vérifie)
- Existence d’un manquement à l’obligation de sécurité prévue par l’article 32 du RGPD.
- Persistance d’insuffisances de sécurité malgré les premières mesures correctives.
- Sensibilité particulière des données de santé traitées.
- Traitement de données directement identifiantes, notamment le numéro de sécurité sociale.
- Nécessité d’informer les personnes concernées et les organismes utilisateurs.
- Convocation régulière du bureau de la CNIL pour statuer sur la publicité.
Preuves retenues (ce qui a fait pencher la décision)
- Signalement anonyme relatif à une faille de sécurité du site web.
- Vérifications en ligne réalisées le jour du signalement.
- Constatations de la délégation lors du contrôle sur place.
- Identification des insuffisances persistantes affectant la confidentialité des données.
- Nature des données traitées, comprenant résultats antigéniques et numéro de sécurité sociale.
Conséquences pratiques
- Maintien de la publicité de la mise en demeure
- Obligation de satisfaire aux exigences dans un délai de deux mois
- Possibilité d’obtenir une clôture également rendue publique
- Information des personnes concernées par les traitements
- Disparition du nom de la société après deux ans
Checklist pour Avocats
À faire
- Identifier les insuffisances affectant la confidentialité des données
- Renforcer les mesures de sécurité du service concerné
- Documenter les actions correctives réalisées
- Vérifier la protection des données de santé et du NIR
- Respecter le délai de deux mois
À éviter
- Laisser subsister une faille de sécurité connue
- Négliger les risques liés aux données de santé
- Traiter le NIR sans mesures de protection adaptées
- Omettre d’informer les organismes utilisateurs concernés
- Confondre mise en demeure et sanction
FAQ / Q-R juridiques
La publicité des mises en demeure de la CNIL
La publicité peut être décidée par le bureau de la CNIL sur le fondement du dernier alinéa du II de l’article 20 de la loi n° 78-17 du 6 janvier 1978. Elle est justifiée ici par la sensibilité des données, l’information des personnes concernées et l’existence de manquements persistants à la sécurité.
L’obligation de sécurité des données personnelles
L’article 32 du RGPD impose d’assurer la sécurité des données personnelles. La mise en demeure a été prise en raison d’insuffisances persistantes affectant la confidentialité des données, malgré les mesures adoptées après la violation constatée.
La portée juridique d’une mise en demeure
La mise en demeure ne constitue pas une sanction. Si son destinataire satisfait intégralement aux exigences dans le délai de deux mois, elle est clôturée et cette clôture est également rendue publique. Les décisions cessent d’identifier nommément la société après deux ans de publication.
Textes cités
RGPD & protection des données
Approfondir ce sujet :